Das neue Einwilligungsverfahren von Google ist inzwischen nahezu komplett eingeführt. Sowohl Datenschutz-Aufsicht als auch Verbraucherschützer begleiten es kritisch.

Google hat sein Einwilligungsverfahren seit vergangenem April in allen EU-Staaten schrittweise eingeführt. Spätestens seit Oktober erfasst es alle Nutzer von Google-Diensten.

Als problematisch gilt, dass die Besitzer von Google-Accounts mit der Einwilligungserklärung unvorbereitet konfrontiert werden. Deshalb erreichen auch immer mehr Beschwerden die Datenschutz-Aufsichtsbehörden. Viele Anwender gehen davon aus, dass Google damit auf das Safe-Harbor-Urteil des Europäischen Gerichtshofs (EuGH) reagiert.
Kein Zusammenhang mit Safe-Harbor-Urteil

Der für Google zuständige Hamburgische Datenschutzbeauftragte Johannes Caspar erklärt, mit dem EuGH-Urteil zu Safe Harbor habe der von Google entwickelte Einwilligungsmechanismus nichts zu tun. "Das Urteil betrifft die Übermittlung von personenbezogenen Daten von Europa in die USA, nicht die direkte Nutzung von US-Diensten von Europa aus." Seine Behörde hatte bereits 2013 über ein Anordnungsverfahren Google zu mehr Transparenz und die Einholung von Einwilligungen verpflichtet. Das Hamburger Verfahren ist noch nicht abgeschlossen.

Den Anstoß hierfür hatte Google 2012 gegeben, als es konzernweit seine zahlreichen Datenschutzbestimmungen überarbeitete und zusammenführte. Das hatte den Verdacht der Datenschutz-Aufsichtsbehörden bestätigt, dass Google die Nutzungsdaten aus verschiedenen Diensten in einem Profil zusammenführt, auswertet und unbefristet speichert. Nach deutschem Datenschutzrechtsverständnis ist dies ohne Einwilligung der Betroffenen nicht erlaubt.
Zwei Einwilligungen

Google hat nun zwei verschiedene Einwilligungserklärungen erarbeitet. Die eine bezieht sich auf Dienste wie die Google-Suche oder Google Maps. Die Aufforderung kann an jeweils fünf Nutzungstagen weggeklickt werden. Browser-Nutzer, die etwa mit dem Schließen des Browsers alle Cookies automatisch löschen, werden den Einwilligungsbildschirm noch nie gesehen haben, gleichwohl jedoch einen Hinweis auf die Einwilligungserklärung. Browser-Nutzer hingegen, die Cookies manuell löschen, sind hingegen mit hoher Wahrscheinlichkeit damit schon konfrontiert worden.

Die andere Einwilligungserklärung betrifft die Nutzer, die bei Google ein Nutzerkonto etwa für Gmail oder Youtube führen. Sie werden unabhängig vom Cookie-Management in jedem Fall mit der Einwilligungserklärung konfrontiert. Caspar kritisiert, dass der Nutzer seine Einwilligung nicht nach verschiedenen Diensten differenziert einsetzen kann: "Das derzeitige Modell der Einwilligung funktioniert nach der Methode 'Hop oder Top'."

Die Texte der Einwilligungserklärungen sind unterschiedlich, weil der Umfang der Datenverarbeitung variiert. Außerdem müssen sie rechtlich unterschiedlich eingeordnet werden. Caspar erklärt: "Wer sich etwa ein Hotelzimmer über eine Webseite in den USA bucht, tut dies für sich selbst und ist kein Normadressat im Sinne des Datenschutzgesetzes. Es bedarf deshalb auch keines angemessenen Datenschutzniveaus oder besonderer Garantien." Googles Websuche wird das Safe-Harbor-Urteil damit nicht betreffen.

Das aber sei anders, erläutert Caspar, "wenn ein Dienst in den USA Daten über Betroffene erhebt, die ihm durch Dritte in Europa übermittelt werden, etwa wenn Webseiten von Besuchern Daten sammeln und diese zur Auswertung an einen Anbieter in den USA weitergeben." Folgte man dieser Argumentation, wären zwar die üblichen Google-Dienste wie Suche nicht betroffen, wohl aber Googles Adword-Programm oder der Feedburner-Dienst. Hier soll es bis Ende Januar seitens der Aufsichtsbehörden zu einer Entscheidung kommen.
Verbrauchschützer wollen rechtlich prüfen

Carola Elbrecht von der Verbraucherzentrale Bundesverband (VZBV) hält Googles Vorgehen für "rechtlich unzulässig" und kündigte an, dass der VZBV die neuen Bedingungen überprüfen wolle. "Das Verfahren sieht zwar oberflächlich transparent aus, ist es aber nicht." Der Verbraucher habe keine ausreichende Zeit die umfänglichen Datenschutzbestimmungen – elf Seiten zuzüglich aller Verlinkungen und diversen Kontextmenüs – zu lesen, diese inhaltlich nachzuvollziehen und daraus resultierende Fragen mit Google zu klären. Wenn der Verbraucher mit den geänderten Datenschutzbestimmungen nicht einverstanden ist, bleibe auch möglicherweise nicht hinreichend Zeit, Google-Dienste beziehungsweise die eigenen Daten zu löschen oder woanders hin zu transferieren.

Auch sei bereits bei oberflächlichem Lesen schon zu erkennen, dass einzelnen Bestimmungen problematisch sind." So erklärt Google etwa, dass es verschiedene Nutzernamen ein und desselben Anwenders unter einem Namen zusammenführt. Damit wird das Führen von Pseudonymen nahezu unmöglich, was gegen deutsches Recht verstößt. Auch ob die Anforderungen an die Zweckbindung erfüllt werden, müsse geprüft werden.